Mit dem Diebstahl vom April bei der Solana-Handelsplattform Drift Protocol verbundene Wallets haben über zwei Tage geschätzte 109 Millionen US-Dollar in Ether an Tornado Cash gesendet, was die Prüfung von Geldern, die noch vom Angreifer kontrolliert werden, erneut verschärft.
Zusammenfassung
- Mit dem Drift-Exploit vom April verbundene Wallets haben Berichten zufolge am 20.–21. Oktober 44.510 ETH im Wert von 109 Millionen US-Dollar an Tornado Cash überwiesen.
- Die Aktivität am Mittwoch umfasste etwa 18.800 ETH im Wert von 46 Millionen US-Dollar, nach geschätzten 61 Millionen US-Dollar an Überweisungen am Dienstag.
- Von Arkham gekennzeichnete Exploiter-Wallets behielten Berichten zufolge nach den jüngsten Einzahlungen 56.569 ETH im Wert von 138 Millionen US-Dollar.
- Drift schrieb seinen Angriff vom April nach einer Untersuchung durch Mandiant einer nordkoreanischen Bedrohungsgruppe zu.
- Die Börse eröffnete am 1. Oktober DFX-Wiederherstellungsansprüche, die zunächst durch einen Pool mit etwa 3,1 Millionen USDT gedeckt waren.
Laut dem Blockchain-Tracker Onchain Lens haben die Wallets am 20. und 21. Oktober 44.510 ETH in den Mixing-Dienst eingezahlt, darunter etwa 18.800 ETH im Wert von 46 Millionen US-Dollar am Mittwoch.
Den Überweisungen vom 21. Oktober gingen am Dienstag rund 25.710 ETH voraus, als Blockchain-Monitore Einzahlungen im Wert von etwa 61 Millionen US-Dollar verzeichneten. Zusammen machen die beiden Chargen mehr als ein Drittel der 295 Millionen US-Dollar aus, die beim Exploit von Drift am 1. April verloren gingen, basierend auf ihren geschätzten Dollarwerten zum Zeitpunkt der Überweisung.
Die Zuordnung der Transaktionen stützt sich auf Adressen, die als zum Angreifer gehörend identifiziert wurden. Tornado Cash nimmt Kryptowährungs-Einzahlungen in Privacy-Pools an, wodurch es schwieriger wird, Gelder zu verfolgen, sobald sie an neue Adressen abgehoben werden. Eine Einzahlung in einen Mixer belegt für sich genommen nicht, dass die gestohlenen Vermögenswerte gegen Bargeld getauscht oder von den Behörden wiedererlangt wurden.
Die Bewegung erfolgt nach einer Phase relativer Inaktivität. Am 20. Oktober meldete Lookonchain etwa 25.700 ETH, die innerhalb von zwei Stunden eingezahlt wurden, während verschiedene Überwachungskonten niedrigere Zwischensummen veröffentlichten, da die Transaktionen noch im Gange waren.
Die jüngste Zwei-Tages-Zahl umfasst den vollständigen von Onchain Lens genannten Zeitraum, nicht die Menge, die jeder Tracker zum selben Zeitpunkt beobachtet hat. Die gemeldete Zahl von 44.510 ETH und die zitierte Summe von 109 Millionen US-Dollar sind Schätzungen, die auf der Überweisungsaktivität und den Ether-Preisen rund um die Einzahlungen basieren.
Exploiter-Wallets behalten nach jüngsten Überweisungen 138 Millionen US-Dollar
Nach den Überweisungen am Mittwoch hielten als Drift-Exploiter gekennzeichnete Adressen laut Arkham Intelligence-Daten, die im Bericht vom 21. Oktober zitiert wurden, etwa 56.569 ETH im Wert von 138 Millionen US-Dollar. Die Zahl beschreibt die verfolgten Wallets zu diesem Zeitpunkt, nicht unbedingt jeden Vermögenswert, der von den Tätern kontrolliert wird.
Am Dienstag hatte die entsprechende Schätzung des Bestands bei etwa 81.454 ETH im Wert von 194 Millionen US-Dollar gelegen. Diese Salden änderten sich, als Gelder bewegt wurden und als der Marktpreis von Ether schwankte.
Vergangene Transaktionen verkomplizieren das Bild. Im August hatten mit demselben Vorfall verbundene Wallets bereits etwa 44 Millionen US-Dollar in ETH über Tornado Cash überwiesen, was erneut Fragen aufwarf, wie viel letztlich eingefroren oder an die Opfer zurückgegeben werden könnte.
Wie crypto.news zuvor berichtete, standen Ermittler vor Schwierigkeiten, die gestohlenen Vermögenswerte durch Kryptowährungs-Mixer zu verfolgen.
Der Vorfall im April war einer der größten Diebstähle im Bereich dezentraler Finanzen des Jahres. Drift sah sich zunächst mit unterschiedlichen Schadensschätzungen konfrontiert, weil Ermittler die betroffenen Token zu unterschiedlichen Zeitpunkten bewerteten, während die spätere Buchhaltung der Plattform die gestohlenen Vermögenswerte auf etwa 295,7 Millionen US-Dollar bezifferte.
Nordkoreanische Hacker mit dem Drift-Exploit vom April in Verbindung gebracht
Drift erklärte in seinem Wiederherstellungs-Update vom 3. Juni, dass das Cybersicherheitsunternehmen Mandiant den Angriff der Gruppe UNC6862 zuschrieb, einer nordkoreanischen Bedrohungsgruppe. Mandiants Einschätzung stützte sich auf operative Beweise und Ähnlichkeiten mit anderen Angriffen, die mit nordkoreanischen Akteuren in Verbindung gebracht werden.
Den nach dem Exploit veröffentlichten Berichten zufolge hatten die Angreifer monatelang Beziehungen zu Drift-Mitwirkenden aufgebaut, bevor sie die erforderlichen Genehmigungen zur Übertragung von Vermögenswerten erlangten. Die Ermittler beschrieben eine Kompromittierung des operativen Zugangs und der Transaktionsautorisierung, nicht lediglich einen Fehler in einem Smart Contract für den Handel.
Drift organisierte seine Wiederherstellungsbemühungen anschließend um eine geplante Rückkehr zum Handel neu. In seinem Juni-Update erklärte die Plattform, sie habe den ehemaligen Helium-Engineering-Manager Noah Prince mit der Leitung der Protokollentwicklung beauftragt und ehemalige Teammitglieder von Gauntlet hinzugezogen, um Risikokontrollen und Liquidationsinfrastruktur zu überprüfen.
Diese Arbeit war Teil der Vorbereitungen für eine neu gestartete Handelsplattform, die Einnahmen zur Entschädigung der Nutzer beitragen sollte.
Drift eröffnet DFX-Wiederherstellungsansprüche mit einem anfänglichen Pool von 3,1 Millionen US-Dollar
Am 1. Oktober eröffnete Drift Ansprüche und Einlösungen für DFX, einen Solana-Token, der betroffenen Nutzern entsprechend ihren verifizierten Verlusten zugeteilt wurde. Das Wiederherstellungsrahmenwerk weist für jeden USDT eines anerkannten Verlusts einen DFX zu und legt die Gesamtversorgung auf 299.500.810,998 Token fest.
Zum Start enthielt der Wiederherstellungspool etwa 3,1 Millionen USDT. Die angegebene anfängliche Einlöserate betrug ungefähr 0,0104 USDT pro DFX, was etwa einem Cent für jeden Dollar anspruchsberechtigter Verluste entspricht. Einen Token zu beanspruchen ist davon zu unterscheiden, seinen vollen Nennbetrag in Bargeld zu erhalten.
Gemäß den veröffentlichten Wiederherstellungs-regeln von Drift kann ein Inhaber DFX gegen einen verfügbaren Anteil am Pool einlösen, den Token auf einem Sekundärmarkt verkaufen oder ihn behalten, während zusätzliche Mittel angesammelt werden. Token, die gegen den Pool eingelöst werden, werden verbrannt, wodurch die ausstehende Versorgung reduziert wird.
Ein Teil der Netto-Protokolleinnahmen der neu gestarteten Plattform wird täglich dem Pool zugeführt. Drift nennt Beiträge von 60 % auf die ersten 30.000 USDT des täglichen Nettoertrags, 70 % auf die nächste Stufe bis 100.000 USDT und 90 % oberhalb dieser Schwelle.
Drift erklärt, dass alle Vermögenswerte, die durch Einfrierungen, Strafverfolgungsmaßnahmen oder andere Wiederherstellungsmaßnahmen zurückgewonnen werden, in den Pool eingezahlt werden. Tether hat bis zu 127,5 Millionen USDT zur Unterstützung zugesagt, während andere Partner bis zu 20 Millionen USDT zugesagt haben; diese Zusagen sollten nicht mit bereits für die sofortige Einlösung verfügbarem Geld verwechselt werden.
Anspruchsberechtigte Nutzer müssen ihre DFX-Ansprüche vor 00:00 UTC am 1. Januar 2028 einreichen. Gemäß den Wiederherstellungsbedingungen werden alle Token, die zu diesem Stichtag noch nicht beansprucht wurden, dauerhaft verbrannt.
